Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICODetectada 18 OCT · 16:51

CVE-2025-30208 Evasión de server.fs.deny con ?raw?? en Vite

En Vite, agregar ?raw?? o ?import&raw?? a la URL evade la restricción de @fs sobre archivos fuera de la lista permitida y devuelve el contenido del archivo si existe, por lo que contenidos arbitrarios pueden llegar al navegador. Solo se ven afectadas las aplicaciones que exponen el servidor de desarrollo a la red. Corregido en 6.2.3, 6.1.2, 6.0.12, 5.4.15 y 4.5.10.

5.3MEDIA

CVSS 3.1

  • Probabilidad de explotación74,8 %
  • Explotada activamenteNo confirmada
  • Exploit públicoSí, 1

Afectados

  • vitejs vite

    < 4.5.10>= 5.0.0, < 5.4.15>= 6.0.0, < 6.0.12>= 6.1.0, < 6.1.2>= 6.2.0, < 6.2.3

Qué hacer

  1. Verificá si usás vite y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Priorizá la corrección: hay código de explotación público.
  4. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueAlta
  • Privilegios requeridosNinguno
  • Interacción del usuarioRequerida
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadNinguna
  • DisponibilidadNinguna

Descripción original

Vite, a provider of frontend development tooling, has a vulnerability in versions prior to 6.2.3, 6.1.2, 6.0.12, 5.4.15, and 4.5.10. `@fs` denies access to files outside of Vite serving allow list. Adding `?raw??` or `?import&raw??` to the URL bypasses this limitation and returns the file content if it exists. This bypass exists because trailing separators such as `?` are removed in several places, but are not accounted for in query string regexes. The contents of arbitrary files can be returned to the browser. Only apps explicitly exposing the Vite dev server to the network (using `--host` or `server.host` config option) are affected. Versions 6.2.3, 6.1.2, 6.0.12, 5.4.15, and 4.5.10 fix the issue.

Referencias (6)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.